Η Apple διορθώνει ελάττωμα zero-day στο iOS 15, αλλά χωρίς να πιστώνει τον ειλικρινή ερευνητή
Τον περασμένο μήνα, ο ερευνητής ασφαλείας Denis Tokarev, γνωστός και ως illusionofchaos, μοιράστηκε τα δικά του στην Apple με συγκεκριμένη κριτική σχετικά με το πώς η εταιρεία καθυστερεί να ανταποκριθεί, να ενεργήσει και να μην του έδωσε εύσημα για ένα από τα τρία ελαττώματα που διορθώθηκαν. Τώρα φαίνεται ότι η Apple έχει επιδιορθώσει ένα άλλο ελάττωμα zero-day, αυτό στο iOS 15 που βρήκε ο Tokarev νωρίτερα φέτος, χωρίς να του δώσει πίστωση.
Τον Σεπτέμβριο, ο Tokarev είπε ότι μετά από μισό χρόνο από τότε που ανέφερε ορισμένα από τα τρωτά σημεία στην Apple, αποφάσισε να .
Πριν από δέκα μέρες ζήτησα εξηγήσεις και προειδοποίησα ότι θα δημοσιοποιήσω την έρευνά μου εάν δεν λάβω εξήγηση. Το αίτημά μου αγνοήθηκε, επομένως κάνω αυτό που είπα. Οι ενέργειές μου είναι σύμφωνα με τις οδηγίες υπεύθυνης αποκάλυψης (το Google Project Zero αποκαλύπτει ευπάθειες σε 90 ημέρες μετά την αναφορά τους στον προμηθευτή, ZDI – στο 120). Περίμενα πολύ περισσότερο, μέχρι και μισό χρόνο σε μια περίπτωση.
Στα τέλη Σεπτεμβρίου, ο Τοκάρεφ το μοιράστηκε αυτό που είπε ότι εξακολουθούσαν να εργάζονται για τα ζητήματα και ζήτησαν συγγνώμη για την καθυστέρηση.
Στην ανάρτησή του στο ιστολόγιο του Σεπτεμβρίου, ο Tokarev περιέγραψε ένα ελάττωμα του παιχνιδιού zero-day (ένα από τα τρία) που θα επέτρεπε σε οποιαδήποτε εφαρμογή που είναι εγκατεστημένη από το App Store να αποκτήσει πρόσβαση σε προσωπικά δεδομένα χρήστη, όπως email και πλήρες όνομα Apple ID, διακριτικό ταυτότητας Apple ID, πλήρες σύστημα αρχείων πρόσβασης ανάγνωσης στη βάση δεδομένων Core Duet και πολλά άλλα.
Τώρα λέει ο Τοκάρεφ Η Apple έχει επιδιορθώσει το παιχνίδι zero-day που ανακάλυψε ενημέρωση ασφαλείας χωρίς να τον πιστώνετε (μέσω BleepingComputer ).
Μετά το πρώτο ελάττωμα zero-day που ανακάλυψε ο Tokarev και ανέφερε στην Apple και δεν του πιστώθηκε όταν επιδιορθώθηκε το (19 Ιουλίου), η εταιρεία του είπε:
Λόγω προβλήματος επεξεργασίας, η πίστωσή σας θα συμπεριληφθεί στις συμβουλές ασφαλείας σε μια επερχόμενη ενημέρωση. Ζητούμε συγγνώμη για την αναστάτωση.
Αφού μπαλώθηκε το δεύτερο με εύσημα σε έναν ανώνυμο ερευνητή, Ο Tokarev είπε ότι η Apple του απάντησε σε έξι ώρες, αλλά προφανώς δεν είχε τρόπο να διορθώσει το πρόβλημα της σωστής αναφοράς του. Εν τω μεταξύ, η Apple εξακολουθεί να μην έχει απαντήσει στο analyticsd zero-day που βρήκε ότι είχε επιδιορθωθεί στο iOS 14.7.
Ζητήθηκε από τον Tokarev να διατηρήσει εμπιστευτικά τα τελευταία email από την Apple και ακολούθησε αυτό το αίτημα αυτή τη στιγμή.
Φαίνεται ότι δεν έχουν ξεχωριστό πρωτόκολλο για το χειρισμό των αναφορών που είχαν ήδη αποκαλυφθεί. Και αν αυτό το μήνυμα περιέχει μια νόμιμη δικαιολογία, θα μπορούσαν να σώσουν λίγη φήμη δημοσιοποιώντας το. Αλλά εξαρτάται από αυτούς, δεν θα αποκαλύψω το πλήρες μήνυμα μέχρι να πάρω την πίστωση. 2/3 pic.twitter.com/iG6waUELtk
— Ντένις Τοκάρεφ (@illusionofcha0s) 13 Οκτωβρίου 2021
Ωστόσο, δεν απάντησαν στο δεύτερο email μου, συνεχίζοντας να αγνοούν τις ερωτήσεις μου σχετικά με την ευπάθεια του analyticsd που έκανα ακριβώς πριν από έναν μήνα. pic.twitter.com/sFUhMzvAAU
— Ντένις Τοκάρεφ (@illusionofcha0s) 13 Οκτωβρίου 2021
![Κορυφαίες νέες δυνατότητες Apple Watch Series 1 και Series 2 - ποιο θα πρέπει να αγοράσετε; [Βίντεο]](https://macosxhints.ch/img/apple/52/top-new-apple-watch-series-1.jpg)
